eggyの日記： セキュリティー啓発は時間とお金の無駄 78
日記 by
eggy
セキュリティー専門家のBruce Schneier氏がDark Readingのブログ記事で、ユーザーに対するセキュリティー啓発は時間とお金の無駄であるとする意見を述べている。氏によれば、「ユーザーにパスワードを選ばせたりなんかせず、ユーザーがクリックするリンクを気にしないようなシステムをデザインするべきなのだ」という（本家/.、Dark Reading記事より）。
氏はセキュリティー対策を健康対策になぞらえて説明している。健康的な生活を送るためには、栄養バランスの良い食事と取り、運動することが必要であると散々言われてきたにも関わらず、一向に生活スタイルを変えない人達がいる。健康でいられるという長い目で見た時の恩恵に対して、一日中テレビの前に座ってマクドナルドのスーパーモンスターミールを食べるという目先の満足感を優先させてしまうのである。つまり、コンピューターセキュリティーは長い目で見て将来起こり得る攻撃から守ってくれるかもしれないが、人は目先の楽しい事を優先させてしまう。
このやり方はFacebookでも使われているとのこと。誰も新プライバシー方針を最後まで一々読まないし、「OK」ボタンを押してさっさと友人とのチャットを開始するほうがずっと楽なのである。
それでも啓発しなきゃいけない気がする (スコア:5, すばらしい洞察)
アホが自爆したとき、
『だからダメだって言ったじゃないですか！』（オレじゃなくておまえの責任だ）
と言うために。
Re:それでも啓発しなきゃいけない気がする (スコア:5, すばらしい洞察)
いざというときのためのアリバイ作りは重要ですよね。
それでも責任おっかぶせてくる連中ばかりではありますが。
Re: (スコア:0)
むしろ、あえて不便なようにすべきだと思うけどね
車の運転だってMTならアクセルとブレーキの踏み間違いはまず起きない
オフトピ（Re:それでも啓発しなきゃいけない気がする） (スコア:1)
長い下り坂の終点付近で目前に急カーブという減速必須な場面で、ブレーキとクラッチペダルを踏み間違えた事のある、俺参上
一体俺に何が起こったのか？その瞬間も今も、全くの謎
Re: (スコア:0)
右足を動かそうとして左足が動いたんですか?
Re: (スコア:0)
わざわざネタ作らなくて良いよ。
FJとかのフォーミュラなら、間違える？ことが出来るかもしれんがｗ
一般のMT車で右足でクラッチまでは余程変な体制でない限り、踏むことが
出来ない。そんでもって、クラッチペダルを踏み込むときに気を付けないと
ブレーキペダルも一緒に踏み込んじゃう。
運転中に左足攣ってシフトダウン時に踏むのに苦労したので。。
（長い下り坂＋退避場所無で、ブレーキ踏みっパができない状況）
左足畳んで運転していればやってやれない事は無いかもしれんがね。。
Re:オフトピ（Re:それでも啓発しなきゃいけない気がする） (スコア:1)
いやぁ、それがネタじゃないんですよ(苦笑)
左足はフットレストに、右足でブレーキ通り越してクラッチペダル踏んでるのに、そんなに極端な感覚はその瞬間無かったです
なので、何故減速しないのか気づくまでの体感数秒間は軽くパニくりましたよ(泣)
今、（モチロン停車中に）再現すると無茶な体勢と感じます…なのでホント、何でそんな事になったのか謎
ちなみに車はK12マーチ12SR、AT車の所有歴無し（社有車とかでAT車の運転もしますが、ブレーキもアクセルも右足操作）
Re: (スコア:0)
何かあったときにユーザに責任を押し付けることに一生懸命になってるシステムってのは
ユーザ側から見たら魅力ないよね
簡単に言うと質が低い。
Re:それでも啓発しなきゃいけない気がする (スコア:2, すばらしい洞察)
どんな優秀な錠前でも、鍵無くされたら終わり。
Re: (スコア:0)
鍵が無くても良いようにしろっていってるんだよ。
サイン認証とか、生体認証とか、あるいは新しい技術とかで。
Re:それでも啓発しなきゃいけない気がする (スコア:1)
IT業界では、それを「鍵」と呼ぶわけでして。
というかね、ユーザは「いちいちロックを解除すること」が面倒だと思ってるから、
技術がどうだとか関係ないんだよ。
どんな技術だろうと、本人が「使わない」を選択したら意味がない。
Windowsのログオンとか、パスワード入力して使ってる人はどれだけいるのやら。
Re:それでも啓発しなきゃいけない気がする (スコア:1)
この穴に棒を突っ込んだら気持ちい……じゃなくて。
この穴に棒を突っ込んだらハチミツが付いてくるから、棒をなくしてはダメだよと猿に教えるぐらいの勢いですねわかります。
#そして棒を無くした猿は穴を破壊する。と。
Re:それでも啓発しなきゃいけない気がする (スコア:1)
無限にコストかけていいならやるけど、
現実的なコストで抑えるには使う人に学習してもらわないと無理。
いっそ触らせない方が現実的。
#今日からセキュリティ関係の資格持っていない社員はネット禁止です。
Re: (スコア:0)
だからこの話は、鍵をなくしても大丈夫、または鍵すら不要でも堅牢なシステムを作りましょう、っていう話でしょ
Re: (スコア:0)
友人関係でそれならば、人間性を疑うし、
仕事でそれならば仕事してないにもほどがある。
啓発しても意味がないという前提で、セキュリティを向上させるのがあなた方の仕事。
まさに「お役所仕事」ですね。
お役所でももっとまじめにリスク管理はされている。
まぁ、その程度なんですね。
Re: (スコア:0)
それがプロの仕事ってもんだ。
要求された水準のものを最小限のコストで提供するのがプロ。
あとでボーナスに反映されるならいいけど、
そうでないなら(お役所なんてまさにそれだよね)
給料分以上の仕事のために指一本動かすもんじゃない。
Re: (スコア:0)
啓蒙に強制力があると思ってるあなたのほうがおかしい。
Re: (スコア:0)
たかが友人関係で啓発なんかしたところで
「あ、そういうのいいから」
と婉曲に避けられるのはまあ普通の話でしょう。
まして貴方みたいにカリカリした物言いのエバンジェリストじゃあ…。
Re: (スコア:0)
ユーザがアホだとわかっているなら、
そのアホなユーザでも快適かつ安全に使えるシステムを考えることが重要でしょうな。
事故を起した場合は啓発の有無に関係なくその企業の信用に傷が付くことでしょう。
見出しだけ見て「そりゃそうよ」と言い掛けた (スコア:4, すばらしい洞察)
いちいちセキュリティーを啓蒙するよりも、
予めシステムの制約としてユーザの愚行を制限する方がいいに決まってるけど、
残念、そーゆー話じゃないのか…
> 「ユーザーにパスワードを選ばせたりなんかせず、ユーザーがクリックするリンクを気にしないようなシステムをデザインするべきなのだ」
何も記録せず、何も発信しないシステムにしない限り、ユーザは過ちを犯す。
そんな事も分からないやつが「セキュリティー専門家」を名乗っているとは…
> 一日中テレビの前に座ってマクドナルドのスーパーモンスターミールを食べるという目先の満足感を優先させてしまうのである。
> つまり、コンピューターセキュリティーは長い目で見て将来起こり得る攻撃から守ってくれるかもしれないが、人は目先の楽しい事を優先させてしまう。
その理屈だと、啓蒙は無駄と言う事にはならないだろう。
米国人が僅かな例外も無く皆太っているわけではなく、
健康的な生活習慣を維持できない貧困層が太っているのだから、
> このやり方はFacebookでも使われているとのこと。
え？ つまりそれはダメな方法って事だよね？
セキュリティーを啓蒙せずユーザのやりたいように任せたら、
ソーシャルハックされまくって年がら年中トラブルになっているわけで…
うーん、やっぱりその自称「セキュリティー専門家」とやらは知ったかぶり素人じゃないのか。
Re:見出しだけ見て「そりゃそうよ」と言い掛けた (スコア:5, 参考になる)
> いちいちセキュリティーを啓蒙するよりも、
> 予めシステムの制約としてユーザの愚行を制限する方がいいに決まってるけど、
> 残念、そーゆー話じゃないのか…
いや、そーゆー話です。
そーゆーシステムを開発するように開発者側を教育しろって感じで。
> 「ユーザーにパスワードを選ばせたりなんかせず、ユーザーがクリックするリンクを気にしないようなシステムをデザインするべきなのだ」
の所は多分訳がおかしくて、
「ユーザにしょぼいパスワードを使うことを許さず、ユーザがどんなリンクをクリックしても
気にしない(大丈夫な?)ようなシステムを開発者はデザインするべきだ。」
って書いてます。リンクがどーのこーのな話は、セキュリティでありがちな「怪しいリンクは踏むな」、
ってのはユーザががんばって気にするべきことじゃなくてシステム側でもうちょっと何とかすべきだ、
っていう主張だと思う。たぶん。
>> このやり方はFacebookでも使われているとのこと。
> え？ つまりそれはダメな方法って事だよね？
Facebook のシステムってみんなに気軽に OK 押させて個人的な情報色々ぶちまけさせてるよね、
クソだよね、あーゆーの、みたいな雰囲気なのでダメな方法です。
とりあえず原文読んだほうがいいと思う。
# 自分の訳と理解もあってるかどうかは自信ないけど
Re:見出しだけ見て「そりゃそうよ」と言い掛けた (スコア:5, 参考になる)
確かにストーリーの要約が悪すぎるので原文を読んだほうがいいと思います。
そもそも、啓発(トレーニング)が全部ダメなんて言ってないですね。健康に関する啓発がうまく機能している例として、HIV感染予防が挙げられてます。うまくいっている理由は「気にしなかった場合のリスクがものすごく大きく、はっきりしている」「安全なセックスのために何を守ればいいかがはっきりしている」ということです。一方で、「手を洗う」という啓発ははるかに簡単なのに、うまくいっていない。手を洗わないことのリスクは小さいし、どんな悪いことが起こるかもはっきりしないからです。
車の運転の教習もうまく機能している例です。車の運転は難しいものですが、乗れることのメリットははっきりしています。また、一度安全の常識を覚えれば、車自体の技術が進歩しても同じやり方で運転できます。コンピューターセキュリティの常識が10年もすれば変わってしまうのと対照的です。
Schneierさんの主張は、「ユーザーに細々した対処法を教えるのではなく、基本的な操作方法を身につければ安全に使えるよう、開発者を啓発した方が良い」ということだと思います。
高木浩光さんがこちらの日記で [takagi-hiromitsu.jp]書かれている主張に近いと思いますね。ここで言う「ユーザーがルート証明書のフィンガープリントを確認せよ」というのが無駄なユーザー向けの啓発です。こういうことをせずに、「オレオレ証明書を使うな」と開発者を啓発し、その上でユーザーには「オレオレ証明書の警告が出たら必ず『いいえ』を押しなさい」という常識だけを身につけてもらえばいい、ということだと思います。
Re:見出しだけ見て「そりゃそうよ」と言い掛けた (スコア:1)
「オレオレ証明書を使うな」と開発者を啓発し、
こっちは、もしかすれば、なんとかうまくいくかもしれないけど、
その上でユーザーには「オレオレ証明書の警告が出たら必ず『いいえ』を押しなさい」という常識だけを身につけてもらえばいい
こっちはうまく行くかなあ。そもそも「オレオレ証明書」って物をユーザに理解させるのが困難だし。
そんなことをやるくらいなら、(かなり面倒な操作をしない限り)問答無用で「オレオレ証明書」を拒否するブラウザを配布した方がいいんじゃない?
Re:見出しだけ見て「そりゃそうよ」と言い掛けた (スコア:3)
＞> 「ユーザーにパスワードを選ばせたりなんか＞せず、ユーザーがクリックするリンクを気にし＞ないようなシステムをデザインするべきなのだ」
＞
＞何も記録せず、何も発信しないシステムにし＞ない限り、ユーザは過ちを犯す。
＞そんな事も分からないやつが「セキュリティー専門家」を名乗っているとは…
よくある、悪くない主張だと思うが。
例えば、企業内LANを直接インターネットに綱がないとか、そういう考え方だろう。
多少不便だが、根本的な対策にはなる。
一般の企業内LAN以外にも、現代では、生産設備や実験設備もLANを使っていることが多いが、それらの制御用として導入・内蔵されているPCは頻繁にアップデートすることが困難なことが多いので、それらのLANも独立させておく方が好ましい。
Re:見出しだけ見て「そりゃそうよ」と言い掛けた (スコア:2, 参考になる)
うーむ、/.も墜ちるところまで墜ちたと言うべきか。
> やっぱりその自称「セキュリティー専門家」とやらは知ったかぶり素人じゃないのか。
ブルース・シュナイアーの名前を知らないのはともかく、軽くぐぐってみるぐらいの智恵を働かせたほうが恥はかかなくて済むと思いますよ。シュナイアー著、Applied Cryptographyはこの業界のバイブルで、読んでないのにセキュリティ専門家を名乗る奴がいたらゴミ、というレベルの大家ですよ。
Re:見出しだけ見て「そりゃそうよ」と言い掛けた (スコア:2)
大家だから正しいとするのはどうかと思いますよ。
まあ開発者側の心構えとしては正しいと思いますが、
現実的なコストでできる万能の銀の弾がない以上、やはり啓蒙は必要だと思いますが。
Re:見出しだけ見て「そりゃそうよ」と言い掛けた (スコア:1)
敷金は返して欲しいもんね
大家と馬鹿と自分のどれが信用なるかという話が、なぜか騙す騙されるの結果論になるところがおかしい
前のめりに死ぬよりも、長生きしていつまでも美少女と交尾したいのが人情ではないか
Re: (スコア:0)
「会社が従業員に対して」セキュリティー啓発をするのは無駄という主張であると理解し賛成しておくが、
デブを引き合いにするのは全く不適切だな
これでは彼の主張が愚民化政策だと受け取られても仕方がないし、セキュリティー業界がバ○揃いなのもこれで納得がいく(とかいう)
Re: (スコア:0)
そんな受け取り方をする人がいるんですか？
どこの愚民ですか、それは。
# 馬鹿は死ななきゃ治らない。つまり治らないから関わるのは無駄。
# 無駄なコストは切り捨てましょう。
Re: (スコア:0)
大家だから盲信するの？
もしかしたらその大家とやらが愚鈍になった瞬間に、我々は立ち会ってるかもしれないのに。
Re:見出しだけ見て「そりゃそうよ」と言い掛けた (スコア:1)
本家の記事も読んでみると、肯定的な意見、その上でどのように実現するべきか？というコメントが高スコアの様でありますが……
Re: (スコア:0)
何と戦ってるんだ
雑談サイトなんだからもうちょっと肩の力抜いた方が楽しいよ、
まわりの人は。
パスワード以外の解法って ないんだろうか？ (スコア:2)
> 「ユーザーにパスワードを選ばせたりなんかせず、ユーザーがクリックするリンクを気にしないようなシステムをデザインするべきなのだ」
セキュリティで話題になるとよく思うんだが，パスワード自体が無理なんじゃないかと．
ユーザに管理させるには 負担を強いすぎる：
パスワードの個数とか，サイトが許容するパスワードの制約とか．
サイトごとに(例えば 懸賞サイトなんかにすら) アカウント+パスワードがある；
アカウント名は，重複チェックに引っかかったら別名にしなきゃいけない；
パスワードは，サイトの入力制約がバラバラ (e.g. 文字数，文字種)；
なんて，まともに管理できるわけがない．
パスワード管理ツールを使う とか，パスワードを一定アルゴリズムで決める(固定パス+サイト固有のフレーズ+salt) とか，
みたいなライフハックはありますが，それをユーザーに強いるソリューションって どうよ，という．
そろそろ パスワード以外の解法が出て欲しいなあ と思うんですが，どんなのがありますかね？
Re:パスワード以外の解法って ないんだろうか？ (スコア:1)
見知ったところで言うと，OAuth (e.g. Twitter) がありますが，
あれがなかったら きっとみんな発狂してる．Twitterのちみこいサービス類とか．
とはいえ，関連度が高い または 重要度の低いサービス でしか運用できない気がしますが．
結局 大元の垢は パスワード管理ですし，
全部まるっと一垢で管理 なんてできないですし(e.g. Twitter垢に銀行垢を紐付け；なにそれこわい)．
現実的なところなら 携帯アプリとか利用しての セキュリティトークン (e.g. Google二段階認証) ですかね．
Re:パスワード以外の解法って ないんだろうか？ (スコア:1)
指紋認証とかの生体認証系ですかねぇ。
専用の機械が必要なのがネックですが。
PC外のツールとして、
認証トークンみたいなツールとか。
電話やメールで認証情報を送る方式とか。
キーボード入力のクセで認証する方式とか、わりと便利そうなんですけど、
一般的じゃないですねぇ……
Re: (スコア:0)
生体認証は、パスワードが歩いているのと変わらない。
指紋を取るのは簡単だし、静脈も虹彩も、居酒屋で酔いつぶれて寝ている隙に、とかいくらでも手がある。認証機器が普及すると盗み取るのも、より簡単になる
Re:パスワード以外の解法って ないんだろうか？ (スコア:1)
バイオレンス系のフィクションだと指だの手首だのを切断して持っていくなんてのもありますし、実際にもゼラチンで作ったフェイクで指紋認証や掌紋認証をパスできたなんていうのもありますな。
Re: (スコア:0)
Re: (スコア:0)
生体認証にしても、ICカードや携帯機器を使うにしても、
盗みとられたらおしまいってのがありますからね。
パスワードだって一度盗まれたら全滅するからって、同じパスワードを複数サイトで使うなって言ってるでしょ（誰も守っちゃいないだろうけど）。
もちろん (スコア:2)
パスワードは8文字以上で英数記号混在していて文字が1文字でも重複してはならずさらに毎月1回は変更を行い過去に使ったパスワードは使用できないのが当たり前。
自宅と言えどもファイアーウォールは当たり前でログなんかは全て記録が当たり前、ウィルスチェックはファイアーウォールでのチェックとPC内でチェックの2重チェックは常識。
とかネタ的に考えた見たけど、ここになら普通にこういう人いそうですな。
# 啓蒙に関してはやりつづけるべきとは思うけど危険性を訴えるものは多いけど、実際の対応手順を初心者にもわかりやすく示したものってのは少ない気がする。
Re:もちろん (スコア:2)
たぶん、そこまで厳しくすると、パスワードがabcd0001からabcd9999まで延々と続く事になるか、
迂回ルートを探す事になるよね。と。
#というのをDQXでやらかした戦犯……
#ワンタイムパスワードは最高じゃあ！
Re: (スコア:0)
英数記号混在ですから、
abc@0001からabc@9999
とかになるでしょう。
で、これですら@入れたこと忘れて問い合わせ。
Re: (スコア:0)
>文字が1文字でも重複してはならず
これはNG。
設定可能なパターン数が各段に減る=攻撃の命中率が上がる。
abc@123456789といったパスワードを量産させる圧力にもなる。
Re: (スコア:0)
単純に辞書にある単語を、5個以上選ばせるとかの方が強いのでは、
試行回数の制限がないなら、英数記号混在させても現実的な時間で力技で解読できてしまいますし、
Re: (スコア:0)
iDoNotDoIt
Re: (スコア:0)
ネタ的というけれど実際ネタと思えない人もいるんだよね。
今のパスワードのあり方としては
システム側
ユーザーの選択したパスワードを拒否しない。
ログイン時に失敗したときは、その旨をユーザーに通知する。
利用者
単語を選択しない
無理のない範囲で長くする
ということだと思う。
記号を混ぜなきゃならないとか、いろいろな文字を混ぜるなんてのはリソース足りなかった過去の話でしょ。
あと、短期間に、かつ、定期的にパスワードを変更するのも無意味
それよりも、設定するパスワード毎に同じものを使わないことが重要。
スラドjpは自称技術系サイトなのに (スコア:1)
セキュリティ対策は「気をつける」と「罰則を厳しく」だからな
今日なら言える！ (スコア:0)
サイバーノーガード最強！
＃冗談です
一般のエンドユーザーは意識しなくても安全くらいがいいに決まってるのです。
逆に言えば不便を強いる現状は「不具合を運用でカバー」くらいにはナンセンスなんだろうねえ
場合による (スコア:0)
会社が、いつ辞めるかわからん何万人もの従業員相手に
啓発でなんとかしようってのは効率が悪いだろう。
でも、たとえば親が自分の家族のことを考えているときは
システム的なブロックもいいけれど、長期的には啓発のほうが
いい結果になるような気がせんでもない。
家人のメールアドレスでググってみたら、blogなんか書いていた。
ちゃんとACになるように啓蒙中。実名とメールアドレスなんて
すぐ繋がっちゃうってのがわかってないみたい。
Re:馬鹿は死ななきゃ治らない (スコア:2, すばらしい洞察)
ではまず君から回線を切りたまえ。